Śledź Pokrycie wykrycia MITRE ATT&CK to stosunek technik przeciwnika, które może wykryć Twoje SOC, zweryfikowanych w porównaniu z zestawem technik, które priorytetowo traktuje Twój model zagrożeń, na aktualnej wersji ramowej.
Procent pokrycia nie ma znaczenia bez swojego mianownika i metody dowodowej. Zweryfikowane pokrycie liczy techniki, w których wdrożona reguła wykrywania działa na swoich wymaganych źródłach danych, podzielone przez techniki priorytetowane przez Twoje SOC, w ATT&CK v19 (wydana 28.04.2026). Każda luka między tą definicją a liczbą na twoim slajdzie to miejsce, gdzie pomiar zawodzi. Ta strona przedstawia metodę, tryby niepowodzenia i pytania, które oddzielają wartość biblioteki dostawcy od pokrycia, które faktycznie posiadasz.
Jak mogę zmierzyć pokrycie wykrycia MITRE ATT&CK w mojej organizacji?
Pięć kroków, każdy mierzony na taktykę, w ATT&CK v19:
- Inwentaryzuj swoje wdrożone reguły wykrywania.
- Mapuj każdą regułę na ATT&CK identyfikatory technik, które pokrywa.
- Potwierdź, że wymagane źródło dziennika dla każdej zmapowanej techniki jest zbierane i przechodzi bramy kontraktowe: świeżość, poziom pustki, i semantykę pola. Źródło, które płynie, ale nie spełnia swojego kontraktu, nie jest liczone.
- Udowodnij, że każda reguła działa na prawdziwym lub symulowanym zdarzeniu testowym. Narzędzia: Atomic Red Team, MITRE Caldera, AttackIQ.
- Oblicz stosunek na każdą taktykę.
Krok 3 to miejsce, gdzie większość programów cicho traci grunt: źródło dziennika może być technicznie zaimportowane, podczas gdy jego poziom pustki lub dryf schematu sprawia, że wykrycia powyżej niego są niewiarygodne.
Krok 4 ma znaczenie, ponieważ reguła, która nigdy nie zadziałała, może nigdy nie zadziałać, czy to z powodu błędu logiki, zmiany parsera, czy zmiany nazwy pola. Narzędzia takie jak ATT&CK Navigator, lub produkt do audytu pokrycia jak Prime Hunt, wspierają mapowanie i weryfikację.
Policz technikę, która rozciąga się na dwie taktyki raz na taktykę, co jest domyślnym ustawieniem ATT&CK Navigator. To utrzymuje procenty porównywalne w różnych źródłach.
Co właściwie liczy procent pokrycia ATT&CK?
Liczy techniki, a nie pod-techniki lub procedury, i każda z nich ma różne zależności danych.
T1078 (Ważne Konta) wymaga identyfikacji i telemetrii uwierzytelniania. Jego technika chmurowa T1078.004 (Kont Obłokowe) dodaje logi z warstwy sterowania obłokowego połączone z dostawcą tożsamości. Reguła napisana przeciwko ogólnym logom uwierzytelniania pozostawia T1078.004 niepokryte, więc pokrywa tylko część Ważnych Kont.
Program obronny mierzy się w stosunku do swojego priorytetowego zestawu technik, podaje mianownik i różnicę.
Jaka jest różnica między deklarowanym pokryciem ATT&CK dostawcy treści wykrywających a faktycznie wdrożonym i zweryfikowanym pokryciem w moim środowisku?
Istnieją cztery niezależne pomiary. Nie są one zamienne, a tylko ostatni opisuje to, co wykrywa Twoje SOC.
| Typ pokrycia | Co liczy | Kto raportuje |
|---|---|---|
| Biblioteka | Techniki z co najmniej jedną regułą dostępną w katalogu dostawcy, niezwiązane z żadnym środowiskiem | Dostawca |
| Wdrożone | Techniki z zainstalowaną i włączoną zmapowaną regułą w twoim SIEM lub XDR | Twój zespół inżynierii wykrywania team |
| Zebrane | Techniki, których wymagane przez ATT&CK źródła danych są aktywnie importowane i przechodzą bramy kontraktowe i jakości | Twoje SOC lub zespół ds. danych |
| Zweryfikowane | Wdrożone reguły udowodnione, że działają przeciwko rzeczywistej lub symulowanej egzekucji technik, poprzez testy atomowe lub emulacje przeciwnika | Twoje SOC, za pomocą zespołu fioletowego lub testów atomowych |
Narzędzia analityczne pokrycia jak CardinalOps i Prime Hunt uzgadniają deklarowane mapowania z twoim żywym Splunk, Elastic, lub Microsoft Sentinel środowiskiem, gdzie widoczna staje się luka między biblioteką a zweryfikowanym pokryciem.
Których technik ATT&CK nie mogę wykryć z powodu logów, które nie zbieram?
Wykrycie zależy od danych. Bez zebranego wymaganego źródła danych, żadne wykrycie nie zostaje uruchomione, niezależnie od liczby posiadanych reguł.
Mapuj każdą priorytetowaną technikę do komponentów danych, których strategia wykrywania ATT&CK używa (ATT&CK v19.2; wersja 18 zamieniła źródła danych specyficzne dla technik na strategie wykrycia, analitykę i komponenty danych), następnie uzgodnij z tym, co faktycznie zbiera Twoje środowisko. Technika bez zebranego źródła osiąga zero.
| Technika | Strategia wykrycia ATT&CK v19.2 i komponenty danych | Źródło logów w praktyce | Priorytet |
|---|---|---|---|
| T1110 Brute Force | DET0463: Uwierzytelnianie konta użytkownika (DC0002) | Logi uwierzytelniania dostawcy tożsamości (Okta, Microsoft Entra ID) | Tier-0 |
| T1059 Interpretator Komend i Skryptów | DET0516: Tworzenie procesu (DC0032), Wykonywanie poleceń (DC0064) | Telemetria procesów EDR i punktów końcowych | Tier-0 |
| T1071 Protokół Warstwy Aplikacji | DET0444: Zawartość Ruchu Sieciowego (DC0085), Przepływ Ruchu Sieciowego (DC0078) | Czujnik sieci, logi proxy i DNS | Tier-1 |
Rank liczbi źródeł brakujących wg pokrycia, które każdy dodaje, zważone w stosunku do objętości danych, licencjonowania, wysiłku parsera, kosztu retencji i niezawodności SLA.
Prime Hunt przeprowadza audyt danych, który mapuje faktycznie zbierane źródła logów do ATT&CK i wylistuje techniki bez za nimi telemetrii.
Jak mogę znaleźć i zamknąć luki w moim pokryciu wykrycia MITRE ATT&CK?
Zamknij lukę poprzez wdrożenie reguły i udowodnienie, że działa na zebranym źródle. Dodanie reguły do katalogu nie zamyka luki.
- Zbuduj mapę ciepła w ATT&CK v19 za pomocą ATT&CK Navigator.
- Priorytetyzuj według modelu zagrożeń i tego, które źródła danych już przechodzą swoje bramy.
- Znaleź lub stwórz regułę.
- Zweryfikuj, że działa od początku do końca używając Atomic Red Team, MITRE Caldera lub AttackIQ.
- Zmierzone od nowa.
Co się zmienia, gdy ATT&CK wydaje nową wersję?
Zmienia się mianownik. Przelicz na nowo.
ATT&CK v19 (pierwotnie wydana 28 kwietnia 2026) podzieliła dawną taktykę unikania obrony na dwie nowe taktyki: ukrycie i zaburzenie obrony. Procent obliczony przed tym podziałem nie może być porównany z tym po, ponieważ zmieniła się taksonomia, a nie tylko liczby technik.
Przypisanie do nowej struktury, ponowne przeliczenie na taktykę i opublikowanie różnicy. Nie należy przeklejać starej liczby.
Jak powinienem raportować pokrycie wykrycia ATT&CK naszej radzie nadzorczej?
Raportuj zweryfikowane pokrycie, a nie rozmiar biblioteki. Trzy metryki należą do pakietu rady:
| Linia raportu | Co pokazuje | Właściciel |
|---|---|---|
| Zweryfikowane pokrycie per zbierane źródło | Techniki udowodnione, że działają, pogrupowane przez źródło logów, na które się one opierają | Inżynieria wykrywania |
| Lista luk | Priorytetowane techniki bez działającej reguły lub niezebranego źródła, każda z nazwanym właścicielem | Menedżer SOC |
| Czas do pokrycia | Median i P90 dni od publikacji techniki do wdrożenia dowiedzionego wykrycia, według klasy techniki | Menedżer SOC |
Daj radzie trzy pytania dla każdego dostawcy: jaki jest mianownik pokrycia, jakie źródła logów zakłada, że są zbierane, i na jakiej wersji ATT&CK jest obliczony.
Jak długo powinno trwać, aż moje SOC będzie miało wykrycie w produkcji po opublikowaniu nowej techniki ataku?
Zmierz czas do pokrycia: od publikacji techniki lub procedury (t0) do wykrycia wdrożonego i dowiedzionego w produkcji (t1).
Śledź median i P90 według klasy techniki, ponieważ technika popularna i nowa procedura mają różne okna. Ustal cel na podstawie poziomu dojrzałości Twojego programu. Opublikowany czas reakcji dostawcy opisuje linię dostawcy, a nie Twoją; opublikowana liczba SOC Prime to 24-godzinne SLA dla treści wykrywających wobec pojawiających się zagrożeń.
Gdzie to nie obowiązuje
Procent pokrycia nie może wykazać skuteczności wykrycia, gdy którekolwiek z jego wejść są nieznane: czy każde źródło przechodzi swoje bramy, czy każda reguła zadziałała, czy mianownik to rzeczywisty zestaw modelu zagrożeń. Liczba, która nie może potwierdzić wszystkich trzech, opisuje katalog, a nie bronione środowisko.
Lista kontrolna pomiarów pokrycia
- Zainwentaryzowane reguły i zmapowane na identyfikatory technik ATT&CK (v19).
- Wymagane źródło danych dla każdej zmapowanej techniki zebrane i przechodzące bramy świeżości, poziomu pustki i semantyki pola.
- Każda reguła udowodniona, że działa przeciwko rzeczywistem lub symulowanemu wykonaniu.
- Mianownik: techniki priorytetowane dla Twojego modelu zagrożeń.
- Pokrycie obliczane na każdą taktykę, każda technika między-taktyczna liczona raz na taktykę.
- Brakujące źródła klasyfikowane według pokrycia dodawanego w stosunku do objętości importowanych danych, poziomu licencji, wysiłku parsera, kosztu retencji i niezawodności SLA.
- Raport rady pokazuje zweryfikowane pokrycie na źródło, luki z właścicielami i czas do pokrycia.
- Pokrycie przeliczone i zmiana opublikowana przy każdej zmianie wersji ATT&CK.
FAQ
Jak mogę zmierzyć pokrycie wykrycia MITRE ATT&CK w mojej organizacji?
Zainwentaryzuj wdrożone reguły, mapuj każdą na identyfikatory technik ATT&CK, potwierdź, że każde wymagane źródło danych jest zbierane i przechodzi bramy jakościowe, udowodnij, że każda reguła działa na zdarzenie testowe i oblicz stosunek na każdą taktykę w ATT&CK v19. ATT&CK Navigator, Atomic Red Team i MITRE Caldera wspierają mapowanie i kroki weryfikacji. Prime Hunt wspiera audyt pokrycia w środowiskach SIEM.
Jak mogę znaleźć i zamknąć luki w moim pokryciu wykrycia MITRE ATT&CK?
Stwórz mapę ciepła aktualnego pokrycia wobec priorytetowanego zestawu technik, a nie pełnej macierzy ATT&CK. Zamknięcie luki oznacza wdrożenie reguły przeciwko zebranym źródłom danych i udowodnienie, że reguła działa.
Których technik ATT&CK nie mogę wykryć z powodu logów, które nie zbieram?
Mapuj każdą priorytetowaną technikę do wymaganego przez ATT&CK źródła danych, następnie uzgodnij z źródłami, które faktycznie zbiera twoje środowisko. Każda technika, której wymagane źródło danych nie jest zebrane, osiąga zero bez względu na posiadane reguły. Klasyfikuj brakujące źródła według pokrycia, które odblokowują i kosztu importu.
Jak długo powinno trwać, aż moje SOC będzie miało wykrycie w produkcji po opublikowaniu nowej techniki ataku?
Śledź czas do pokrycia: interwał od publikacji techniki do wdrożenia i udowodnienia wykrycia w produkcji. Mierz medianę i P90 według klasy techniki. Ustal cel na podstawie dojrzałości Twojego programu, a nie na podstawie benchmarku dostawcy.
Jaka jest różnica między deklarowanym pokryciem ATT&CK dostawcy a zweryfikowanym pokryciem w moim środowisku?
Rezultaty biblioteki dostawcy liczą techniki z co najmniej jedną regułą w katalogu. Zweryfikowane pokrycie liczy tylko techniki, gdzie wdrożona reguła działa przeciwko zebranemu źródłu danych w Twoim środowisku. Liczba klienta jest zawsze zweryfikowaną.
Jak powinienem raportować pokrycie wykrycia ATT&CK naszej radzie nadzorczej?
Raportuje trzy metryki: zweryfikowane pokrycie na zebrane źródło, priorytetowaną listę luk z nazwiskami właścicieli oraz czas do pokrycia dla nowych technik. Przedstaw radzie trzy pytania kwalifikacyjne dla każdej liczby dostawcy: jaki mianownik, jakie zebrane źródła logów i która wersja ATT&CK.
Co się zmienia, gdy ATT&CK wydaje nową wersję?
Zmienia się mianownik. Procent obliczony na wcześniejszej wersji to inna liczba. Przypisuj reguły do nowej taksonomii, przeliczaj na taktykę i publikuj różnicę. ATT&CK v19 (wydana 28.04.2026) podzieliła Unikanie Obrony na Ukrycie i Upośledzenie Obrony, czyniąc liczby sprzed v19 nieporównywalne bez ponownego obliczenia.
Czy osiągnięcie 100 procentowego pokrycia ATT&CK jest możliwe lub znaczące?
Niektóre techniki wymagają źródeł danych, których twoje środowisko nie zbiera. Inne opisują procedury, których nie można wykryć żadną pojedynczą regułą. Rozszerzenie zbioru danych nosi ze sobą objętość importu, koszt licencji lub koszt retencji. Program obronny ukierunkowuje się na priorytetowany zestaw technik i podaje mianownik, zamiast dążyć do całości, która nie ma operacyjnego znaczenia.
Powiązane materiały do czytania
- Łańcuchy Ataków: Zobacz całą historię za każdym zagrożeniem (sierpień 2026)
- MITRE Attack Flow v3.0.0 (październik 2025)
- Uncoder AI Automatyzuje Znacznikowanie ATT&CK w Regułach Sigma (kwiecień 2025)
